Google Peringatkan Chrome Zero-Day Baru yang Telah Dieksploitasi dalam Serangan
Google memperingatkan pengguna Google Chrome mengenai kerentanan zero-day baru yang telah dieksploitasi dalam serangan di dunia nyata. Celah keamanan yang dilacak sebagai CVE-2026-87491 tersebut menjadi zero-day Chrome ketujuh yang ditambal Google sejak awal 2026.
Google memperbaiki total 230 kerentanan dalam pembaruan keamanan yang dirilis pada Selasa, termasuk celah berisiko tinggi yang saat ini telah diketahui memiliki exploit yang beredar.
“Google is aware that an exploit for CVE-2026-87491 exists in the wild.”
Karena statusnya sudah dieksploitasi, pengguna Chrome disarankan segera memastikan browser telah diperbarui ke versi terbaru.
Chrome 153 mendapatkan pembaruan keamanan
Google mulai mendistribusikan versi Chrome yang telah diperbaiki untuk berbagai sistem operasi melalui Stable Desktop channel.
Versi yang dirilis adalah:
- Windows: Chrome 153.0.8010.36
- macOS: Chrome 153.0.8010.37
- Linux: Chrome 153.0.8010.36
Kerentanan tersebut dilaporkan kepada Google oleh Jihyeon Jeong, research intern di Seoul National University’s Compsec Lab.
Google mengatakan pembaruan keamanan dapat membutuhkan waktu beberapa hari hingga beberapa minggu untuk menjangkau seluruh pengguna Chrome di seluruh dunia. Namun, pembaruan tersebut sudah tersedia ketika pemeriksaan dilakukan setelah rilis.
Pengguna yang tidak ingin melakukan pembaruan secara manual juga dapat mengandalkan mekanisme update otomatis Chrome. Browser akan memeriksa pembaruan secara berkala dan memasangnya ketika tersedia, dengan versi baru biasanya diterapkan saat Chrome diluncurkan kembali.
CVE-2026-87491 berada di engine V8
CVE-2026-87491 merupakan kerentanan dengan tingkat keparahan tinggi yang berasal dari out-of-bounds write pada V8, engine JavaScript dan WebAssembly yang digunakan Chrome.
Celah tersebut dapat dieksploitasi oleh penyerang dari jarak jauh melalui halaman HTML yang telah dibuat secara khusus.
Jika eksploitasi berhasil, penyerang dapat menyebabkan Chrome mengeksekusi kode arbitrer di dalam sandbox browser.
Kondisi tersebut juga dapat menyebabkan heap corruption, yang memungkinkan penyerang mengakses data di luar batas buffer yang seharusnya. Dampaknya dapat berupa terbukanya informasi sensitif atau browser mengalami crash.
Karena eksploitasi dapat dipicu melalui konten web yang dibuat secara khusus, pengguna tidak harus secara langsung mengunduh dan menjalankan file executable agar serangan dapat terjadi.
Google belum mengungkap detail serangan
Meskipun Google mengonfirmasi bahwa exploit untuk CVE-2026-87491 telah digunakan dalam serangan, perusahaan belum memberikan informasi lebih lanjut mengenai bagaimana serangan tersebut dilakukan atau siapa yang berada di baliknya.
Google sengaja membatasi akses terhadap detail teknis dan referensi eksploitasi hingga sebagian besar pengguna telah mendapatkan pembaruan keamanan.
Pembatasan tersebut juga dapat dipertahankan apabila kerentanan ternyata berada pada library pihak ketiga yang digunakan oleh proyek lain dan belum mendapatkan perbaikan.
Pendekatan ini dimaksudkan untuk mengurangi risiko informasi teknis mengenai zero-day dimanfaatkan oleh lebih banyak penyerang sebelum patch tersedia secara luas.
Sudah tujuh Chrome zero-day pada 2026
CVE-2026-87491 bukan satu-satunya zero-day Chrome yang ditangani Google tahun ini.
Sebelumnya, Google telah menambal beberapa kerentanan yang diketahui dieksploitasi dalam serangan, termasuk:
CVE-2026-2441
Kerentanan iterator invalidation pada CSSFontFeatureValuesMap, komponen Chrome yang menangani CSS font feature values. Google memperbaikinya pada pertengahan Februari.
CVE-2026-3909 dan CVE-2026-3910
Pada Maret, Google memperbaiki dua zero-day yang digunakan dalam serangan.
CVE-2026-3909 merupakan out-of-bounds write pada library grafis 2D Skia, sedangkan CVE-2026-3910 merupakan kerentanan inappropriate implementation pada engine V8.
CVE-2026-5281
Pada April, Google menambal kerentanan use-after-free pada Dawn, implementasi lintas platform dari standar WebGPU yang digunakan dalam proyek Chromium.
CVE-2026-85046
Google juga memperbaiki type confusion pada V8 melalui pembaruan yang dirilis pada awal September.
Dengan CVE-2026-87491, jumlah zero-day Chrome yang telah ditambal dan diketahui dieksploitasi dalam serangan sepanjang 2026 mencapai tujuh.
Pengguna Chrome disarankan segera memperbarui browser
Frekuensi zero-day yang dieksploitasi menunjukkan bahwa browser menjadi salah satu target penting bagi kelompok penyerang. Engine seperti V8 memiliki permukaan serangan yang luas karena harus memproses JavaScript dan WebAssembly dari berbagai situs.
Untuk memastikan Chrome telah mendapatkan patch, pengguna desktop dapat membuka menu Help > About Google Chrome. Chrome akan memeriksa versi terbaru dan memasang pembaruan jika tersedia.
Setelah proses pembaruan selesai, browser biasanya perlu direlaunch agar patch keamanan diterapkan sepenuhnya.
Google sebelumnya juga memperbaiki delapan zero-day Chrome yang dieksploitasi di dunia nyata sepanjang 2025, banyak di antaranya ditemukan atau dilaporkan oleh Threat Analysis Group (TAG), tim Google yang dikenal melacak eksploitasi zero-day dan aktivitas spyware.
Dengan CVE-2026-87491 yang sudah dieksploitasi sebelum detail teknisnya tersedia secara luas, pengguna sebaiknya tidak menunda pemasangan pembaruan Chrome yang tersedia.
Sumber: Google
